Les spywares de KaZaA - Version 1.7.2 - 2002

Nous avons cherché à savoir ce qui vient avec KaZaA ces temps-ci (cela change de temps en temps et KaZaA signe avec les uns, ne proroge pas un contrat avec un autre etc. ...) car ce ne sont pas toujours les mêmes implants malveillants qui s'installent. Le test a eu lieu sur 3 jours les 17, 18 et 19 septembre 2002. Nota : le 23 septembre 2002, KaZaA livre la version 2.0 de KaZaA Media Desktop ce qui nous conduira à refaire un test lorsque nous aurons 2 ou 3 jours de libre.

• Préparation d'un disque dur :
  
  • format
    
  • installation Windows 98 et IE 4 depuis un CD d'origine
    
  • installation Norton SystemWorks depuis un CD d'origine
    
  • installation ZoneAlarm 2.6 (depuis un backup - sans aller sur le Net)
    
  • installation Ad-aware de Lavasoft et RefUpdate (depuis un backup - sans aller sur le Net)
    
  • installation SpyBot Search and Destroy (depuis un backup - sans aller sur le Net)
    
  • installation PestPatrol et PPUpdater (depuis un backup - sans aller sur le Net)
    
  • installation de Tauscan (depuis un backup - sans aller sur le Net)
    
  • installation de Trojan-Hunter (depuis un backup - sans aller sur le Net)
    
  • installation de Regcleaner dernière version (V 4.3) (depuis un backup - sans aller sur le Net)
    
  • installation de 20/20 (captures d'écrans) (depuis un backup - sans aller sur le Net)
    
  • installation des drivers Alcatel et paramétrage d'une connexion adsl sans mémorisation du mot de passe
    
• Connexion et mise à niveau de tous les utilitaires
  
• Exécution de tous les utilitaires y compris une analyse de surface approfondie. Le disque est sain et propre.
  
  • Ad-aware ne détecte rien
    
  • SpyBot SnD ne détecte rien
    
  • PestPatrol ne détecte rien
    
  • RegCleaner ne détecte rien
    
  • Tauscan ne détecte rien
    
  • Trojan Hunter ne détecte rien
    
  • Norton Anti-Virus ne détecte rien
    
  • Norton Disk Doctor - test de surface ne détecte rien
    
• Nous effectuons une analyse complète du système par Norton pour nous assurer qu'il n'y a aucune erreur ou incohérence dans les structures de directory, le disque, la base de registre, les raccourcis etc. ...
  
• Nous effectuons une réorganisation complète du disque avec optimisation de l'espace libre et compression de la base de registres avec NTRegOpt.
  
• Mise en protection d'écriture (write-protect) de tous les fichiers de tous les utilitaires (à l'exception de leurs fichiers journal (logs) dans lesquels ils vont écrire).
  

• Téléchargement de KaZaA depuis le CNet au travers d'Anonymizer.com. 17.09.02 à 07h52 du matin. Nous choisissons la version anglaise 1.7.2 du 25 juillet 2002 soit la toute dernière (il y a aussi une version 1.7.1 en français mais la communauté française est peu nombreuse et une bonne partie d'entre-elle souhaitant toujours le "dernier cri" utilise la version anglaise).
  

  

• On s'aperçoit que ce n'est pas KaZaA Media Desktop (4.66 MO) qui est téléchargé mais un petit télé-chargeur du nom de kmd.exe, d'une taille de 133 KO, et ce directement depuis le site de KaZaA.com et non pas depuis un serveur du Cnet.
  

  
  

• Fermeture du download et exécution de tous les utilitaires. Le disque est sain et propre donc rien n'a été installé durant cette phase (quelques alertes du FireWall de type ping ou Netbios et autres non analysées).
  
  • Ad-aware ne détecte rien
    
  • SpyBot SnD ne détecte rien
    
  • PestPatrol ne détecte rien
    
  • RegCleaner ne détecte rien
    
  • Tauscan ne détecte rien
    
  • Trojan Hunter ne détecte rien
    
  • Norton Anti-Virus ne détecte rien
    
• Lancement de kmd.exe, sélection de la version 1.7.2 english et lancement du téléchargement
  
  
  
  
• Celui-ci enchaîne aussitôt sur l'installation !
  
  
  
  
• Nous souhaitons lancer nos utilitaires après le téléchargement mais avant l'installation donc nous tentons de quitter l'installation, et là commencent les ennuis. Il est impossible de quitter le téléchargeur (downloader) de KaZaA qui passe en mode Installeur automatiquement et immédiatement. Même avec plusieurs terminaison du processus (kill-task), le téléchargeur et installeur de KaZaA est toujours vivant et se relance indéfiniement, avec de multiples occurences de la fenêtre d'accueil de son installeur (il s'agit de l'installeur InstallShield de la société éponyme, rachetée par MacroVision en 2004, elle-même renommée Rovi Corporation le 16.07.2009, et éditrice de solutions anti-copie).

  

  

• La solution pour sortir de l'installeur est le redémarrage de l'ordinateur. Il est alors possible de passer tous les utilitaires et de s'apercevoir qu'à ce stade il ne s'est encore rien passé sauf kazaa.exe qui est déjà installé dans la liste de démarrage de Windows (vu avec RegCleaner).
  
  Aucune malveillance ou application tierce n'est installée, ni même présente dans l'ordinateur sous forme latente. KaZaA agira donc, à son tour, en downloader, dans un système pyramidal, dès sa première exécution.
  
  • Ad-aware ne détecte rien
    
  • SpyBot SnD ne détecte rien
    
  • PestPatrol ne détecte rien
    
  • RegCleaner détecte la présence de kazaa.exe dans la liste de démarrage sous forme d'une clé dans le registre
    
  • Tauscan ne détecte rien
    
  • Trojan Hunter ne détecte rien
    
  • Norton Anti-Virus ne détecte rien
    

• Nous ouvrons alors une connexion Internet, qui, normalement, ne devrait pas servir, et lançons l'installation. Nous choisissons la procédure d'installation majoritairement choisie par les utilisateurs, c'est-à-dire tout. Notre choix est dicté par les observations suivantes :
  
  
  • Les utilisateurs avertis sont extrêmement minoritaires
  • KaZaA est essentiellement exploité par des adolescents boulimiques de tout et qui installent donc tout ce qui vient avec KaZaA surtout que cela leur est présenté comme des améliorations ou des systèmes permettant la gratuité de KaZaA.
  • Aucun utilisateur ne lit attentivement les 10 (dix !!!) contrats de licence et de support, chacun tenant sur plusieurs pages. Une telle pléthore décourage volontairement et exclue toute possibilité de lecture de la part d'un public majoritairement déjà hostile à la lecture et pressé de lancer l'exécution de l'application. La phase d'installation, qui va prendre quelques secondes, est déjà un calvaire d'attente insuportable ! Cela équivaut à l'absence totale de clauses contractuelles.
  • Les interventions dans les forums font apparaître que même des utilisateurs avancés ne sont pas encore avertis de l'existence des spywares.
  • Beaucoup d'utilisateurs de KaZaA, avertis de la présence des implants malveillants dans KaZaA, s'en fichent, pourvu qu'ils puissent pomper du MP3 et autres trucs pirater sans tarder, même s'il faut tenter de traverser un champs de mines, quite à sauter avec.
  • Beaucoup d'utilisateurs de KaZaA, avertis de l'existence de KaZaaLite (une version intégrale, mais illégale, de KaZaA, débarrassée de tous les implants malveillants) préfère continuer à utiliser le Bon Dieu plutôt que ses Saints.
    
• Arrivés à la fin du paramétrage du setup, nous coupons la connexion Internet : il est immédiatement demandé d'établir une connexion ?!? Curieux - il n'y a aucune raison qu'une communication soit ouverte et encore moins qu'une tâche surveille l'ouverture ou la fermeture de celle-ci, et demande qu'elle soit maintenue ouverte. Nous maintenons la coupure et ignorons la demande d'établissement de la connexion.
  
  
  

• Nous lançons tous nos utilitaires une seconde fois. A ce stade, avant installation, il n'y a toujours aucune malveillance d'installée.
  
  • Ad-aware ne détecte rien
    
  • SpyBot SnD ne détecte rien
    
  • PestPatrol ne détecte rien
    
  • RegCleaner détecte toujours la présence de kazaa.exe dans la liste de démarrage de Windows sous forme d'un clé dans le registre
    
  • Tauscan ne détecte rien
    
  • Trojan Hunter ne détecte rien
    
  • Norton Anti-Virus ne détecte rien
    

  

• Nous lançons enfin l'installation de KaZaA, toujours hors connexion.
  
  
• L'installation se passe sans problème apparent. Nous tentons de fermer la demande de connexion mais nous bouclons indéfiniment dessus.
  
  
• Redémarrage
  KaZaA est lancé et demande immédiatement une connexion. Nous annulons et fermons KaZaA.
  
  
• Nous lançons tous nos utilitaires de tests
  • Ad-aware détecte 42 composants
    
  • SpyBot SnD détecte 36 problèmes en 38 secondes (toujours sa vitesse magique)
    
  • PestPatrol n'est pas exécuté par faute de temps
    
  • RegCleaner détecte 5 nouvelles entrées dans la liste de démarrage et 16 nouveaux programmes installés dont STDialUp d'Alcatel (pourquoi ma connexion serait-elle modifiée ?)
    
  • Tauscan ne détecte rien
    
  • Trojan Hunter ne détecte rien
    
  • Norton Anti-Virus ne détecte rien
• Redémarrage
  KaZaA se lance avec demande de "username", adresse e-mail , souscription à une newsletter et l'inévitable demande de connexion. Nous tentons de quitter KaZaA : impossible. Alors nous composons notre mot de passe pour ouvrir notre connexion qui échoue.
  
  
• Redémarrage
  KaZaA se lance, nous établissons la connexion et quittons KaZaA aussitôt, avant la fin de l'établissement de la connexion, donc celui-ci n'a pas encore le loisir d'envoyer notre username et adresse e-mail. La connexion s'établit et, très inquiets, nous voyons d'une part un bouton appelé "checking password" s'installer dans notre barre de taches et, d'autre part, du trafic s'établir. De quoi KaZaA se mêle avec mon mot de passe - serait-ce un truc genre keylogger qui capturerait mon mot de passe ? Est-ce que cela a à voir quelque chose avec le STDialUp d'Alcatel qui vient d'être installé ?
  
  
  
  Voici, pour info, une comparaison entre :
  1. le trafic établis normalement à la connexion lors d'une connexion "normale"
  2. le trafic établis lors d'une première connexion après installation de KaZaA
  3. le trafic établis lors des connexions suivantes après installation de KaZaA

  Dans tous les cas, la connexion est établie par Démarrer > Programmes > Accessoires > Communication > Accès réseau à distance > double clic sur notre connexion.
  
  Une connexion normale : 331 octets reçus et 401 octets envoyés
  
  
  
  
  Une première connexion juste après installation de KaZaA, sans que celui-ci soit lancé. Que représentent ces 500.000 octets reçus ? Le téléchargement silencieux des technologies AltNet ?
  
  
  
  Une connexion suivante (toutes les suivantes seront similaires) depuis que KaZaA est installé. Il y a du bavardage.
  
  

• Nous lançons tous nos utilitaires de tests
  
  
  • Ad-aware détecte maintenant 44 composants soit 2 de plus
    SpyBot SnD détecte 45 problèmes soit 9 de plus
    PestPatrol détecte 14 "pests" et le moniteur temps réel de PestPatrol en détecte 2 actifs en mémoire.
    RegCleaner détecte 5 nouvelles entrées dans la liste de démarrage et 16 nouveaux programmes installés.
    Tauscan ne détecte rien
    Trojan Hunter ne détecte rien
    Norton Anti-Virus ne détecte rien
  • Nous lançons tous nos utilitaires en phase d'éradication. Il ne suffit pas d'arrêter KaZaA et de le supprimer du systray. Il faut aussi y aller d'un coup de alt-cntrl-del (touches « alt », « ctrl » et « suppr » simultanément) pour le tuer.
  • Ad-aware : il faudra 2 passes à Ad-aware pour éliminer Cydoor (et une troisième pour s'assurer que c'est bien fait).
    SpyBot SnD : il faudra 2 passes à SpyBot SnD (merci à sa vitesse magique - si tous les utilitaires étaient comme lui, il n'aurait pas fallu 3 jours de tests à attendre la fin des divers scan)
    PestPatrol étant en version d'évaluation n'est pas en mesure d'éradiquer les problèmes. Notons qu'après passage d'Ad-aware et de SpyBot SnD il trouve encore pgmonitr.exe
    
  • Résultats des détections :

    Résultats des détections

    Ad-aware

    

    

    Résultats des détections

    SpyBot Search and Destroy

    

    Résultats des détections

    Pest Patrol

    

    

    

    

    

    

    

    

  • Le lancement de KaZaA est impossible après nettoyage.

Viennent avec KaZaa, en septembre 2002 dans la version 1.7.2 de KaZaA (la version 2.0 apparue peu après ce test ne devrait pas apporter beaucoup de modifications à cela).:

• BDE ou BDP ou B3D ou B3D Projector ou Brillant Digital Entertainment ou Brilliant Digital Projector
  KaZaA installe la visionneuse 3D de la société Brillant Digital.
  
  Cette visionneuse a comme fonction apparente de permettre la visualisation de publicités en 3D selon la technologie 3D de Brillant Digital, technologie qu'il vend simultanément à des sociétés tournant des pubs dans cette technologie et à des régies publicitaires diffusant ces mêmes pubs en 3D.
  
  Cette visionneuse est en fait un cheval de Troie fournis par The Brilliant Digital (Bde Smart Installer) et dont la tâche est de charger silencieusement les outils de la technologie AltNet. Voir ci-dessous.
  
  
• AltNet (ALTernate NETork)
  Même s'il n'est pas installé directement par KaZaA, AltNet est une conséquence directe de l'installation de KaZaA et de la visionneuse B3D. AltNet représente une des pires actions d'intrusion dans nos vies privées. AltNet est une technologie de réseau s'appuyant sur la même technologie P2P de FastTrack permettant de transformer chacun de nos ordinateurs en un noeud d'un réseau captif totalement privé, propriété de The Brillant Digital qui s'approprie ainsi nos puissances de calcul inutilisées (en moyenne 80% de la puissance de nos ordinateurs), notre bande passante Internet, nos surfaces disques (pour faire du stockage réparti) et notre mémoire Ram (pour en faire de la mémoire cache de son réseau) pour des travaux commerciaux d'informatique distribuée qui lui sont strictement personnel et qu'il revend à ses clients (dont DoubleClik). Il est impératif de lire ce premier papier et ce second papier pour avoir le détail de cette affaire ainsi que le papier Kazaa sert de relais caché à un autre réseau peer-to-peer - ZDNet 2 avril 2002. Il a été relevé également qu'AltNet provoque l'apparition d'un icône doré dans certaines recherches (on ne sait pas pourquoi - probablement un test de la technologie AltNet).
  
  
• SaveNow
  SaveNow (société WhenU.com, Inc) fait partie des adwares un peu spéciaux de la classe des logicield de publicité intrusive et fonctionne même en l'absence de KaZaa. On le trouve également dans iMesh. Outre sa fonction apparente qui est de remplacer (c'est ça l'agression) les pubs « normales » d'un site par celles de ses propres clients, il a les fonctions « habituelles » des adwares qui ont basculé en spywares (traçage, remontées d'informations etc. ...).
  
  
• Cydoor.
  Cydoor est un Adware. On note que les nouvelles versions de Cydoor (à partir de la version 3.2 semble t-il) sont classées Adware purs mais si vous avez une ancienne version de KaZaa ou de Cydoor, l'ancien Cydoor est classé à Spyware et utilisait un GUID. On note également qu'il est assez rebelle à l'éradication et qu'il faut 2 passages d'Ad-aware pour en venir à bout. Cydoor ad server est un des modules de Cydoor dont l'installation est obligatoire et qui est remplacé par un leurre dans KaZaa Lite ce qui provoque la réaction de fausse découverte de Cydoor par les anti-adware comme Ad-aware etc. ... SpyBot Search and Destroy est plus intelligent et remplace le noyau de Cydoor par un leurre, permettant ainsi à l'hôte (KaZaA) de continuer à fonctionner.
  
  
• DownloadWare
  Il s'agit d'une jolie petite merde (société Fordale Ltd) qui n'est pas dangereuse en soi, bien qu'elle fasse un peu de traçage, mais dont le boulot est de rester en veille permanente (il tourne tout le temps en arrière plan sur nos ordinateurs) et, dès qu'une connexion Internet est établie, d'aller demander à ses serveurs ce qu'il doit faire. En ce sens il ressemble un peu à un cheval de Troie (un trojan) de type backdoor qui, au lieu d'attendre d'être scanné par son maître pour se réveiller lui signales immédiatement qu'il est disponible pour faire une connerie. Il lui est alors demandé de prendre en charge le download sur nos ordinateurs de divers logiciels de type adware ou autres sans que nous n'en sachions rien (il n'y a aucune trace de son activité et aucune trace des logiciels downloadés). Les logiciels downloadés peuvent exécuter n'importe quel code arbitraire sans que nous n'en sachions rien, même s'ils sont, généralement, publicitaires.
  DownloadWare est connu pour provoquer de nombreux crash au démarrage de Windows (erreur dw.exe).
  DownloadWare signale également qu'il peut entrer en conflit avec d'autres programmes et que, s'il les trouve, il les efface purement et simplement !!!
  D'après doxdesk outre une version ActiveX écrite différemment de celle livrée avec KaZaA et ses download d'adwares, il installerait également :
  • Un dialers de Movie Networks
  • Popcorn.net
  • MVPNetworks ou Real-Tens
  • Network Essentials - un adware qui joue la cour de la publicité intrusive, spyware et Bho (qui est justement détecté dans ce test)
    
    
• Network Essentials
  C'est un Bho (société SmartPops.com) pour Internet Explorer (ne fonctionnera pas avec Opera ou Netscape) installé par le trojan DownloadWare et chargé d'analyser en temps réel les urls et les mots apparaissant dans les pages Web que vous visitez et demandant éventuellement à un process compagnon d'afficher des pubs (en popup) si des url ou des mots correspondent aux urls ou aux mots clés cryptés qu'il renferme. Ce genre de pub agressive ne rémunèrera pas, bien entendu, le Webmaster du site ainsi agressé.
  
  
• CommonName
  SpyBot SnD trouve une entrée CommonName (mais pas Ad-aware) mais celui-ci ne semble pas installé (d'anciennes versions de KaZaA installaient cet espion). Peut-être une trace d'installation laissée ou oubliée dans KaZaA.
  
  
• NewNet ou New.Net ou NewDotNet
  Lire notre article ici. SpyBot SnD trouve New.Net mais pas Ad-aware. Prononcez NewDotNet. S'installe comme un plug-in de Internet Explorer et n'est donc pas détecté par les FireWall à travers lesquels il passe (certains commentaires font état de la capacité de ZoneAlarm 2.6.362 à le bloquer - la chose est très controversée ainsi que le fait qu'il agisse en spyware ou non). La société New Net Inc. prétend ne plus rémunérer 5 cent chaque installation réussie et même ne plus diffuser cet espion mais des informations remontantes laissent entendre qu'il est toujours diffusé. Et Tdf en apporte la preuve aujourd'hui. Et on se demande pourquoi des sociétés comme KaZaA, qui ne sont pas des philanthropes du tout, continue à le livrer en bundle avec leur produit ? Nous prendrait t'on pour des c... Fonctionne d'une manière autonome, même en l'absence de KaZaa. New.Net fait la promotion de noms de domaines en .free, .xxx, .shop, tous domaines non officiels et cherche donc à ajouter aux navigateurs des capacités de recherche.
  
  
• Delfin Promulgate
  On notera que cet adware n'est signalé que par PestPatrol.
  
  
• UCMore (prononcez "you see more" - ce qui veut bien dire ce que cela veut dire)
  C'est un adware et spyware. On notera que cette "toolbar" de Effective-i, Inc. qui s'installe en Bho dans Internet Explorer n'est signalée que par PestPatrol (assez curieusement SpyBot SnD dispose d'un commentaire sur cette toolbar dans sa base de connaissances mais ne la détecte pas au scan).
  
  
• KaZaA Adware propriétaire
  On notera que seul PestPatrol signale l'adware interne de KaZaA (et KaZaA lui-même).
  
  
• Limite de qualité du partage de MP3.
  Ceci empêche KaZaa de partager des fichiers MP3 avec un bitrate de 320KB.
  
  

Pour nettoyer spécifiquement KaZaa il y a diverses approches fonctionnelles. On remarquera que les clauses (licence) de KaZaa ne comportent aucune mention faisant référence à des espions et que, par conséquent, rien ne peut être illégal dans l'éradication des dits espions qui ne font donc pas partie de la licence KaZaa mais sont simplement livrés avec, en "cadeaux".

• Les versions pirates (hackées) de KaZaa
  Utiliser des versions modifiées de KaZaa. C'est sans doute la meilleure solution. Le terme Lite ne doit pas induire en erreur. Les versions allégées (lite) de Kazaa sont bien des versions complète mais sans les espions :

• Kazaalite (le site de Kazaalite sur lequel on trouve tous les liens de download des dernières versions).
• Omega (lien testé le 24.07.2002 - Ok - en français - taille 0,985 Mo)
• Lire : Une version de Kazaa sans aucun logiciel espion - Interview sur ZDNet 19 avril 2002

• Éliminer "à la main" AltNet de KaZaa
  Suivre ce lien vers une procédure proposée par ZDNet le 4 avril 2002
  

• Comment désinstaller le logiciel Altnet greffé à Kazaa - ZDNet 4 avril 2002
  
• Utiliser KaZaa Rebound
  Utiliser KaZaa Rebound qui retire tout le merdier scotché à KaZaa. Cet utilitaire, "Rebound", retire tout ce merdier tout en permettant à Kazaa de poursuivre normalement son fonctionnement. KaZaa Rebound s'applique sur une installation pré-existante officielle de KaZaa. Si vous n'avez pas encore installé KaZaa, installez directement KaZaa Lite.

• KaZaa Rebound 1.6.1 (ce lien fonctionne le 24.07.2002 - la quasi-totalité des liens sur la planète ne fonctionnent plus)
• KaZaa Rebound 1.7.0 (impossible de trouver un site de download proposant cette version le 24.07.2002 - soit elle n'est pas proposée soit les download ne fonctionnent pas soit les liens sont brisés !!! il est préférable de désinstaller KaZaa et d'installer KaZaa Lite 1.7.1
• Le site de Rebound est à https://www.oursmallworld.org/ mais ne fonctionne pas et sa page d'accueil envoi sur des sites de download n'ayant pas Rebound ou des pages en erreur 404 !!! (27.07.2002).

  Diet KaZaA
  Bloque les spywares et les publicités dans KaZaA avant même qu'ils ne soient downloadés.

  Suppression totale de toute trace de KaZaA
  KazaaBegone supprime totalement KaZaA quelque soit sa version : desinstalleur de KaZaA - scan et efface tous les éléments de toutes les versions de KaZaA ainsi que de tous les trucs (spywares, adware etc. ... qui sont "livrés" en bundle avec).

  Note :
  La polémique sur KaZaa Lite et son adware (ne pas confondre avec spyware) est close fin juillet 2002 : les nouvelles livraisons de KaZaa Lite filtrent également, dans son hosts, le site de KazaaLite.com qui se prive ainsi de sa source de revenus lui permettant de maintenir ses serveurs - on notera que la paranoïa a encore frappé et que le déséquilibre du modèle économique fondé sur la publicité va tendre, encore une fois, vers un Internet payant. Merci aux internautes qui nous balancent des enclumes sur nos pieds. Des sites et outils totalement gratuit et sans pub, comme celui que vous êtes en train de lire, se font rares. Alors préservez cet espace de liberté d'autant que vous avez tous les outils pour filtrer les pubs.

  Hosts et KaZaA
  Ajouter à votre liste hosts, les lignes suivantes:
  127.0.0.1 shop.kazaa.com
  127.0.0.1 desktop.kazaa.com
  127.0.0.1 kazaa.adserver.co.il
  Ceci bloquera le chargement de la "KaZaA Start Page". Vous aurrez des messages d'erreur que vous pouvez ignorer.

Pour en savoir plus sur les polémiques autour de KaZaa: